PHP 框架安全指南：如何防止 CSRF 攻击？
跨站点请求伪造 (CSRF) 攻击是一种网络攻击，其中攻击者诱骗用户在受害者的网络应用程序中执行非预期操作。
CSRF 如何工作？
CSRF 攻击利用了一个事实：大多数 Web 应用程序允许在同一个域名内不同页面之间发送请求。攻击者创建恶意页面，该页面向受害者的应用程序发送请求，触发未经授权的操作。
如何防止 CSRF 攻击？
1. 使用反 CSRF 令牌：
向每个用户分配一个唯一的令牌，将其存储在会话或 Cookie 中。在应用程序中包含一个隐藏字段，用于提交该令牌。验证提交的令牌与存储的令牌匹配。
// 生成令牌并存储在会话中$_SESSION['csrf_token'] = bin2hex(random_bytes(32));// 在表单中包含隐藏字段<input type="hidden" name="csrf_token" value="">// 验证提交的令牌if (!isset($_POST['csrf_token']) || $_POST['csrf_token'] !== $_SESSION['csrf_token']) { // 令牌无效，拒绝请求}
2. 使用同步器令牌模式 (Synchronizer Token Pattern)：
如知AI笔记
如知笔记——支持markdown的在线笔记，支持ai智能写作、AI搜索，支持DeepseekR1满血大模型
27 查看详情 
立即学习“PHP免费学习笔记（深入）”；
在首次加载页面时，生成令牌并将其存储在 Cookie 中。在表单提交时，将令牌作为 HTTP 头发送到服务器。验证提交的令牌与存储的令牌匹配。
// 在首次加载页面时生成令牌并存储在 Cookie 中setcookie('csrf_token', bin2hex(random_bytes(32)), time() + 3600, '/');// 在表单提交时，将令牌作为 HTTP 头发送$headers = getallheaders();$csrf_token = $headers['X-CSRF-Token'];// 验证提交的令牌if (!isset($csrf_token) || $csrf_token !== $_COOKIE['csrf_token']) { // 令牌无效，拒绝请求}
实战案例
例如，阻止对钱包中资金转账的 CSRF 攻击：
// 在用户加载转账页面时生成令牌$transfer_token = bin2hex(random_bytes(32));// 在表单中包含隐藏字段<input type="hidden" name="transfer_token" value="">// 验证提交的令牌if (!isset($_POST['transfer_token']) || $_POST['transfer_token'] !== $transfer_token) { // 令牌无效，拒绝转账请求}
通过实施这些措施，您可以有效地防止 CSRF 攻击，保护您的 PHP 应用程序。
以上就是PHP 框架安全指南：如何防止 CSRF 攻击？的详细内容，更多请关注php中文网其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/547976.html
微信扫一扫 
支付宝扫一扫 
